DynamoDBのリソースポリシーを試してみた

2024/03/29(金) 21:00～22:00に実施された「#24 JAWS-UG主催 週刊AWSキャッチアップ（2024/03/18週）」における私のLT「DynamoDBのリソースポリシーを試してみた」の資料になります。 #jawsug

Transcript

1. DynamoDBのリソースポリシーを試してみた Masaki Suzuki (DeNA Co., Ltd.) 2024/03/29 週刊AWSキャッチアップ (2024/03/18週)
2. アジェンダ 1. 自己紹介＆参考資料 2. DynamoDBのリソースポリシーについて 3. 試してみた 4. IaC対応について 5. まとめ 2
3. 自己紹介 ◼ 名前： 鈴木 正樹 (Masaki Suzuki) ◼ 会社： 株式会社DeNA エンターテイメント開発事業本部 ◼ 職業： クラウドアーキテクト（AWS全般、特にサーバーレスバックエンド・IaC） ◼ 技術・その他： • AWS(特にLambda & AWS CDK), その他サーバーレスバックエンド全般, CI/CD etc. • TypeScript, JavaScript(Node.js), Jestなど • JAWS-UG CDK支部, JAWS-UG 名古屋支部, AWS Community Builder (Serverless, 2023～) ◼ SNS： • @makky12 (SUZUKI Masaki＠クラウドエンジニア) • @makky12.bsky.social • https://github.com/smt7174/ • http://makky12.hatenablog.com/ 3
4. 参考資料 ◼ Using resource-based policies for DynamoDB • AWS公式ドキュメント ◼ Amazon DynamoDBがリソースベースポリシーをサポートしました • クラスメソッドさんのブログ（より詳細な解説がされています） ◼ ポリシーの評価論理 • AWS公式による、IAMポリシーでのアクセス制御の解説 • めちゃくちゃ役に立つドキュメントなので、ぜひ一読をお勧めします • 特に「アカウント内でのリクエストの許可または拒否の決定」のフローチャート ◼ 【AWS】DynamoDBにリソースポリシーが追加されたので試してみた • 私のブログです。（主にAWS, AWS CDK, JavaScriptについて書いてます） 4
5. DynamoDBのリソースポリシーについて
6. DynamoDBがリソースポリシーに対応しました 6 ◼ DynamoDBでもリソースポリシーでのアクセス制御が可能に ◼ S3, API Gatewayなどと同様の機能 ◼ DynamoDBをよりセキュアにできる（使い方次第で） ここに 図 や テキスト を挿入します
7. 試してみた
8. 実行内容 8 • LambdaからDynamoDBテーブルのデータ取得を実行 • Lambdaは以下2パターンを試す • アクセス権限なし(IAMロールに何もポリシーをアタッチしない) • アクセス権限あり（IAMロールにAmazonDynamoDBFullAccessポリシーをアタッチ） 上記の際に、DynamoDBリソースポリシーの有無による挙動を確認
9. 付与するポリシー 9 • リソースポリシーに上記ポリシーを付与 • EffectにAllow（許可）かDeny(拒否)を設定 • PrincipalのARNは「IAMロール」のARN（LambdaのARNではない）
10. 1. アクセス権限がない場合 10 ◼ リソースポリシーを設定しない場合、 AccessDeniedExceptionが発生 ◼ リソースポリシーにEffect:Allowを設定すると、全データを取得可能 ◼ リソースポリシーが効いている ◼ Lambdaロールに明示的Denyをアタッチすると、リソースポリシーに関係 なくAccessDeniedExceptionが発生するので注意 ここに 図 や テキスト を挿入します
11. 2. アクセス権限がある場合 11 ◼ リソースポリシーが未設定の場合、 全データを取得可能 ◼ リソースポリシーにEffect:Denyを設定すると、 AccessDeniedException が発生 ◼ この場合もリソースポリシーが効いている ここに 図 や テキスト を挿入します
12. IaC対応について
13. IaC対応について(CloudFormation/AWS CDK) 13 • CloudFormationテンプレートは対応済（ResourcePolicyプロパティ） • 下記URL参照(※1) • 表示言語を「English」にしないと表示されないので注意（「日本語」ではダメ） 日本語対応しました！ • AWS CDKは未対応（L1/L2共に） • L1のaddPropertyOverrideを使ってもダメだった(Cannot read properties of undefined が発生) ※1： https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws- resource-dynamodb-table.html
14. まとめ
15. まとめ ◼ DynamoDBもリソースポリシーアクセス制御が可能になった ◼ 使い勝手はS3やAPI Gatewayのリソースポリシーと全く同じ ◼ AWS CDKの対応はしばし待とう or contributeしよう！ 15
16. DeNA ENGINEERING DeNAのエンジニアの技術・文化・チーム等を伝えるポータルサイトです。 様々な技術発信や、カルチャーの紹介をしています。
17. ご清聴ありがとうございました 以上です